Linux日志审计的步骤主要包括以下几个方面：
journalctl命令查看系统日志。/var/log/目录下的各类日志文件，如auth.log, syslog, kern.log, messages等。access.log和error.log。rsyslog或syslog-ng等工具进行日志转发和集中管理。auditd服务来进行系统级审计。ausearch和aureport命令查询和分析审计日志。Tripwire, Logwatch, Splunk等进行更高级的分析和报告。journalctl -xe
tail -f /var/log/auth.log
auditd查询事件：ausearch -ts recent -k sshd
aureport -i
通过以上步骤，可以有效地进行Linux系统的日志审计，提高系统的安全性和稳定性。
